数字经济时代，数据已成为基础性、战略性、先导性资源，数据流动与开发利用的深度不断拓展，数据泄露、损毁、滥用等安全风险也日益突出。近日，国家互联网信息办公室、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》（以下简称《办法》）。国家网信办有关负责人表示，出台《办法》旨在规范网络数据安全风险评估活动，完善数据安全管理体制机制，以数据安全保障数据开发利用和产业发展。

细化评估规则，筑牢法治制度底座

作为对已有法规的细化，《办法》补上了实操层面的统一规范。

“《办法》为既有法律体系中的网络数据安全风险评估制度搭建了全景式操作框架，明晰了网络数据处理者与第三方评估机构的合规与责任边界。”中国人民大学法学院副院长、教授丁晓东表示。

中国法学会网络与信息法学研究会常务副秘书长周辉认为，《办法》的核心价值之一，是推动数据安全法律制度从原则规定走向具体实施。其采取了差异化、比例化的制度设计。对重要数据处理者，设置年度评估和重大变化及时评估要求；对一般数据处理者，则采取鼓励定期评估的方式。在他看来，差异化的义务设置没有简单将所有主体纳入同一强度的合规要求，而是根据风险程度配置对应义务，有助于监管与合规资源向高风险领域精准倾斜。

北京航空航天大学法学院副教授、院长助理赵精武认为，《办法》既是《数据安全法》相关条款的落地落实，也与《网络数据安全管理条例》的规定相衔接，将风险评估这一关键环节从一般性规范细化为可操作的实施细则，将风险控制的端口前移，通过系统化、常态化的风险识别与研判，为网络数据安全保护提供了具有预见性的决策基础。

规范评估生态，凝聚协同治理合力

“《办法》坚持有效市场和有为政府相结合原则，平衡治理成效和治理成本，推动政府与市场在数据安全治理上实现优势互补、协同发力，力求以最小的治理成本实现最大的安全成效。”中央网信办数据与技术保障中心主任张鹏表示，《办法》既充分激发了市场主体的能动性，也明确了政府在培育、指导、监督、执法方面的职责边界。

赵精武认为，禁止转委托、强制定期更换评估机构的制度设计，从源头防范了利益绑定风险。这一设计与审计独立性保障逻辑较为类似，旨在切断评估机构与客户之间因长期合作可能形成的利益固化和人情羁绊，从结构上确保评估结论的中立与公允，维系整个评估生态的纯洁性与公信力。

国家互联网应急中心党委副书记、副主任刘博也提到，评估人员与机构的能力直接决定评估质量，当前专业评估人才供给仍跟不上行业需求。《办法》为网络数据安全风险评估的人才培养和机构建设提供了依据。下一步，行业主管部门和网络数据处理者要协同发力，着力培养一批高质量评估人才和机构队伍，有力支撑网络数据安全风险评估工作行稳致远。

统筹安全发展，激活数据要素潜能

“安全是发展的前提，发展是安全的保障。”张鹏表示，《办法》在数据安全与流通利用之间寻求动态平衡，实现安全与发展相辅相成、良性互动，促进数据要素安全有序流动和高效利用。

他进一步谈到，风险评估的核心是引导合规而非限制发展，数字经济时代，数据已经成为基础性、战略性、先导性资源，粗放式的数据流动，不仅不会促进经济发展，还可能危害国家安全、侵害个人信息权益。因此，通过定期开展风险评估等方式可以帮助网络数据处理者及时排查风险，引导数据资源在合规轨道上健康流动。

刘博认为，当前数据要素流通面临多重现实阻碍，在建设数据基础制度、推动数据要素流通利用的过程中，既面临数据主体“不愿流动”的意愿障碍，也面临“不会流动”的本领障碍，更面临“不敢流动”的风险障碍。数据处理者出于对未知风险的担忧，往往选择“烟囱式”的数据利用方案，造成了无法连通的数据孤岛，极大地阻碍数据要素的价值释放。

在刘博看来，标准化的风险评估是破解难题的关键支撑，网络数据安全风险评估工作采用有效的评估方法、科学的风险分析和评价手段，系统性识别未知风险与已知风险，用科学的风险管理支撑数据要素利用，必将推动以数据要素为基础的数字经济高质量发展。

周辉也表示，风险评估的制度价值，在于把隐藏在数据处理各环节的隐蔽风险提前显性化，推动数据安全治理从事后补救转向事前预防、事中控制。“由此，安全要求被转化为可执行的评估路径，数据依法有序流动和有效利用也获得了更稳定的制度支撑，为行业发展提供了稳定预期。”

《办法》是落实党中央、国务院关于数据安全治理工作部署和法律法规有关要求的重要举措，指导网络数据处理者通过网络数据安全风险评估提升数据安全保障能力，维护国家重要数据安全，以高水平安全促进数字经济高质量发展。（文/刘吉东）